Polityka zgłaszania podatności

Banger Mail wspiera badania bezpieczeństwa prowadzone w dobrej wierze. Jeśli uważasz, że udało Ci się znaleźć podatność w Banger Mail, napisz na security@team.bangermail.com. Podaj host lub aplikację, której dotyczy problem, kroki pozwalające go odtworzyć, przewidywany wpływ oraz logi lub zrzuty ekranu pomocne w jego zrozumieniu. Obecnie nie publikujemy klucza PGP; nie przesyłaj niepotrzebnych sekretów, danych osobowych ani zawartości Skrzynek.

Jak zgłaszać

W miarę możliwości wysyłaj osobne zgłoszenie dla każdego problemu. Podaj wystarczająco dużo szczegółów, abyśmy mogli bezpiecznie odtworzyć zachowanie, i poinformuj nas, czy Twoim zdaniem problem jest aktywnie wykorzystywany. Przerwij testy, gdy masz wystarczające dowody potwierdzające podatność.

Zakres

Zakres obejmuje:

• app.bangermail.com, aplikację internetową Banger;
• api.bangermail.com, API Banger, w tym serwer MCP pod api.bangermail.com/mcp i jego punkty końcowe OAuth;
• auth.muchbetterapps.com, usługę logowania używaną przez Banger (zachowuje ona dawną nazwę naszej firmy);
• cloud.bangermail.com, który obsługuje połączenia ze Skrzynkami Google; oraz
• bangermail.com, publiczną stronę, w tym jej bezpłatne narzędzia.

Szczególnie przydatne są zgłoszenia dotyczące uwierzytelniania, OAuth i autoryzacji agentów, kluczy API, uprawnień narzędzi MCP, dostępu między Przestrzeniami roboczymi, routingu poczty, wysyłania z domeny innego klienta, ochrony danych Skrzynek lub ujawnionych danych wrażliwych.

Poza zakresem

Poza zakresem są ataki odmowy usługi lub zautomatyzowane testy na dużą skalę, socjotechnika, ataki fizyczne, przejęcie konta wskutek ponownego użycia hasła oraz podatności występujące wyłącznie w usługach podmiotów trzecich, których nie obsługuje BangerMail Inc. Nie wysyłaj spamu, nie stosuj phishingu ani credential stuffingu, nie utrzymuj trwałego dostępu, nie wyprowadzaj danych i nie przeglądaj danych ponad zakres konieczny do wykazania problemu.

Termin potwierdzenia zgłoszenia

Potwierdzimy otrzymanie zgłoszeń objętych zakresem w ciągu 3 dni roboczych. Podczas badania możemy poprosić o dodatkowe szczegóły. Będziemy ustalać priorytety zgłoszeń na podstawie prawdopodobnego wpływu na użytkowników, możliwości wykorzystania oraz tego, czy problem wydaje się dotyczyć danych Skrzynek lub dostępu do konta.

Ochrona prawna badaczy

Badania prowadzone w dobrej wierze zgodnie z tą polityką uznajemy za dozwolone. Jeśli pozostajesz w określonym zakresie, unikasz naruszania prywatności i zakłócania usługi, niezwłocznie zgłaszasz przypadkowy dostęp oraz nie zachowujesz ani nie udostępniasz danych, nie podejmiemy działań prawnych w związku z tymi badaniami.

Skoordynowane ujawnienie

Domyślny termin skoordynowanego ujawnienia wynosi 90 dni od potwierdzenia zgłoszenia, chyba że wspólnie uzgodnimy inaczej lub aktywne wykorzystanie wymaga szybszego działania. Nie jest to płatny program nagród za wykrywanie błędów.